使用NAT配置工作组网桥(WGB)有线客户端

下载选项

PDF (902.0 KB)
在各种设备上使用 Adobe Reader 查看

已更新: 2026 年 9 月 3 日

文档 ID:226292

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍在网络访问转换后配置有线客户端，以通过工作组桥访问网络。

先决条件

要求

Cisco 建议您了解以下主题：

9800无线局域网控制器(WLC)的概念和配置
工作组网桥(WGB)概念和配置
网络访问控制(NAT)概念和配置
交换概念和配置

使用的组件

本文档中的信息基于以下软件和硬件版本：

9800-CL WLC Cisco IOS® XE 26.1.1
WGB WP-WIFI6-B集成在1821路由器版本26.1.1中
Catalyst IR1821坚固型路由器，Cisco IOS 17.15.4
9300交换机，Cisco IOS 17.15.4

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景信息

有些WGB实施要求WGB后面的有线客户端位于与WGB不同的vLAN中，同时在WGB、WLC或WLC后面的网络设备中不存在vLAN。

在这种情况下，使用NAT可提供使有线客户端与WLC后面的网络（应用、互联网、服务器等）通信所需的配置和灵活性。

网络图

Topology 拓扑

配置

无线 LAN 控制器

本部分介绍用于广播WGB连接到的服务集标识符(SSID)的WLAN、WLAN策略配置文件和策略标记的基本配置。

警告：生产中对这些参数进行的任何配置更改都可能导致无线客户端断开连接。

步骤1.配置SSID。

第1.1步：导航到配置>标记和配置文件> WLAN。单击 Add。输入Profile和SSID名称。单击 Apply。

GUI:

WLAN Configuration WLAN 配置

CLI：

config t
wlan WGB 6 WGB
radio policy dot11 5ghz
no shutdown

步骤1.2.配置SSID安全参数。选择PSK，输入PSK密码，然后单击Apply。

GUI:

WLAN Security Wlan安全

CLI：

config t
wlan WGB 6 WGB
shutdown
no security ft adaptive
security wpa psk set-key ascii 0 12345678
no security wpa akm dot1x
security wpa akm psk
no shutdown

步骤1.3.在SSID中配置AironetIE。导航到高级选项卡，启用CCX Aironet IE，然后单击应用。

GUI:

Aironet IE

CLI：

config t
wlan WGB 6 WGB
shutdown
ccx aironet-iesupport
no shutdown

步骤2.配置WLAN策略配置文件。

第2.1步：导航到配置>标记和配置文件> WLAN。单击 Add。输入Name。配置为Enable the Status和Passive Client。然后单击 Apply。

GUI:

WLAN Policy WLAN策略

CLI：

config t
wireless profile policy PolicyWGB
passive-client
no shutdown

第2.2步：导航到访问策略。单击VLAN/VLAN Group，然后选择WGB vLAN。

GUI:

Vlan配置

CLI：

conf t
wireless profile policy PolicyWGB
shutdown
vlan VLAN3246
no shutdown

步骤3.配置Policy Tag并将其应用于WGB连接的接入点(AP)。

第3.1步：导航到配置>标签和配置文件>标签。单击Policy，然后单击Add。输入Name，然后单击Add。选择SSID和策略配置文件。单击 Apply。

GUI:

Tag 标记

CLI：

config t
wireless tag policy WGBTag
wlan WGB policy PolicyWGB

注意：请记住将策略标记应用于广播SSID的所有接入点。

工作组网桥

本节介绍WGB上的配置。该配置允许WGB连接到网络并通过vLAN3246获得连接。

CLI：

configure ap hostname WGB1
configure ap address ipv4 static 10.10.246.4 255.255.255.0 10.10.246.1
configure ap management add username admin password P0ssw0rd123! secret P0ssw0rd123!
configure ssid-profile WGB ssid WGB authentication psk 12345678 key-management wpa2
configure dot11Radio 1 mode wgb ssid-profile WGB
configure dot11Radio 1 enable

路由器

本节介绍如何配置NAT以允许vLAN3248中的有线客户端与vLAN3246之间的连接。

vLAN3248仅驻留在路由器中，与WLC后面的网络一端完全没有连接。

路由器执行NAT，通过WGB将vLAN3248中有线客户端的流量传输到vLAN3246中WLC后面的网络侧。

注意：对于连接到WGB后路由器的有线客户端，为了使其vLAN连接正常，唯一支持的配置是NAT。不支持VLAN间路由。

步骤1.在二层级别配置vLAN 3246和vLAN 3248。

conf t
vlan 3246
exit
vlan 3248
end

步骤2.从路由器配置WGB的端口。

conf t
interface Wlan-GigabitEthernet 0/1/4
switchport trunk native vlan 3246
switchport trunk allowed vlan 3246
switchport mode trunk

步骤3.配置WGB vLAN和有线客户端vLAN的交换虚拟接口(SVI)。

步骤3.1. WGB SVI配置。IP地址10.10.246.1是vLAN 3246的网关，配置在WLC后的第3层交换机中。路由器中的此SVI正在使用下一个可用IP地址。

config t
interface Vlan3246
ip address 10.10.246.2 255.255.255.0

步骤3.2.有线客户端接口vLAN配置。路由器中的有线客户端使用vLAN 3248。此SVI是有线客户端的网关，因为这些客户端仅存在于此路由器中。为此SVI配置唯一的MAC地址。

config t
interface Vlan3248
mac-address 6c13.d53f.aabb
ip address 10.10.248.1 255.255.255.0

警告：配置每个SVI的唯一MAC地址。默认情况下，路由器对所有SVI使用相同的MAC地址，这可能会导致此实施中的冲突。

步骤4.配置访问列表(ACL)并允许有线客户端的网络。

config t
ip access-list extended NATACL
10 permit ip 10.10.248.0 0.0.0.255 any

步骤5.配置与ACL和WGB接口匹配的路由映射。

conf t
route-map WGBACL permit 10
match ip address NATACL
match interface Vlan3246

步骤6.配置NAT。

步骤6.1.在SVI中配置NAT。SVI 3248是NAT内部，3246是NAT外部。

config t
interface Vlan3248
ip nat inside
exit
interface Vlan3246
ip nat outside

步骤6.2.在路由器中配置NAT。使用路由映射作为源。此配置允许vLAN3248上的有线客户端与WLC后面的vLAN3246中的网络建立连接。

config t
ip nat inside source route-map WGBACL interface Vlan3246 overload

第6.3步此步骤是可选的，如果需要从vLAN3246中WLC后面的设备访问vLAN3248中WGB后面的设备，可以通过NAT进行配置。

例如，图中所示的配置演示了如何从vLAN3246中WLC后面的设备配置对路由器后面和IP地址为10.10.248.10的WGB的访问。

可以使用任何端口，具体取决于在vLAN 3248中路由器后面的设备中需要访问的内容（SSH、Telenet、RDP、HTTP等）。

要通过RDP从vLAN3246中的设备访问10.10.248.10设备，需要将RDP连接到路由器(10.10.246.2)中3246 vLAN的SVI，请检查本文档的Verify部分。

config t
ip nat inside source static tcp 10.10.248.10 3389 interface Vlan3246 3389

步骤7.在路由器的vLAN 3248中配置有线客户端端口。

config t
interface GigabitEthernet0/1/0
switchport mode access
switchport access vlan 3248

注意：此配置使用vLAN 3248中的有线客户端和静态IP地址。如果需要DHCP，可以在路由器中配置DHCP。

验证

验证作为有线客户端列出的vLAN 3246的WGB和SVI的连接。此外，确认vLAN 3248上的有线客户端与网络的连接，向WLC后面的vLAN 3246网关发送ping。

无线 LAN 控制器

从WLC中检查无线客户端列表中显示路由器中配置的vLAN 3246的WGB和SVI。

GUI:

WGB and WGB Client WGB和WGB客户端

CLI：

9800L#show wireless client summary
Number of Clients: 2
MAC Address       AP Name     Type  ID  State  Protocol  Method  Role
------------------------------------------------------------------------
6c13.d53f.f8f4    C9124AXI-B  WLAN  6   Run    11ac      None    Local
e462.c49f.790f    C9124AXI-B  WLAN  6   Run    11ac      None    Local

9800L#show wireless client summary detail
Number of Clients: 2

MAC Address     SSID    AP Name     State  IP Address   VLAN  BSSID           Auth Method   Protocol Channel  Width 
---------------------------------------------------------------------------------------------------------------------
6c13.d53f.f8f4  WGB     C9124AXI-B  Run    10.10.246.2  3246  5c64.f171.6eae  [PSK]         11ac      36      20/20 
e462.c49f.790f  WGB     C9124AXI-B  Run    10.10.246.4  3246  5c64.f171.6eae  [PSK]         11ac      36      20/160 

9800L#show wireless wgb summary
Number of WGBs: 1
MAC Address      AP Name      WLAN    State   Clients
-------------------------------------------------------
e462.c49f.790f   C9124AXI-B   6       Run     1

工作组网桥

确认WGB显示为已连接到SSID。

WGB#show wgb dot11 associations
Uplink Radio ID : 1
Uplink Radio MAC : E4:62:C4:9F:79:0F
SSID Name : WGB
Connected Duration : 0 hours, 7 minutes, 9 seconds
Parent AP Name : C9124AXI-B
Parent AP MAC : 5C:64:F1:71:6E:AE
Uplink State : CONNECTED
Auth Type : PSK
Key management Type : WPA2
Dot11 type : 11ac
Channel : 36
Bandwidth : 20 MHz
Current Datarate : 104 Mbps
Max Datarate : 286 Mbps
RSSI : 41
IP : 10.10.246.4/24
Default Gateway : 10.10.246.1
IPV6 : ::/128
Assoc timeout : 5000 Msec
Auth timeout : 5000 Msec
Dhcp timeout : 60 Sec
Country-code : US

确认vLAN 3246的SVI显示在WGB网桥表中。

WGB#show wgb bridge
***Client ip table entries***
mac vap port vlan_id seen_ip confirm_ago fast_brg
6C:13:D5:3F:F8:F4 0 wired0 0 10.10.246.2 28.112000 true
5C:64:F1:71:6E:AF 0 wbridge1 0 0.0.0.0 1064.320000 true

路由器

从路由器确认可以从vLAN3248到达vLAN3246中WLC后面的网络，并且成功。

Router#ping 10.10.246.1 source vlan 3248
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.10.246.1, timeout is 2 seconds:
Packet sent with a source address of 10.10.248.1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 4/7/8 ms

确认NAT转换正确显示。

Router#show ip nat translations
Pro Inside global Inside local Outside local Outside global
icmp 10.10.246.2:12 10.10.248.1:12 10.10.246.1:12 10.10.246.1:12
Total number of translations: 1

如果使用NAT的可选配置步骤，则确认从vLAN3246到vLAN3248中的设备的RDP连接成功。

本文档的示例中使用RDP，但可以使用任何其他协议。

使用路由器中配置的vLAN3246的SVI(10.10.246.2)对vLAN3248中路由器后面的设备10.10.248.10进行RDP。

RDP Remote Device RDP远程设备

修订历史记录

版本	发布日期	备注
1.0	08-Sep-2026	初始版本

由思科工程师提供

蒂姆·帕迪拉
技术咨询工程技术主管

此文档是否有帮助?

反馈

联系我们

提交支持案例
(需要思科服务合同)

使用NAT配置工作组网桥(WGB)有线客户端

下载选项

非歧视性语言

关于此翻译

目录

简介

先决条件

要求

使用的组件

背景信息

网络图

配置

无线 LAN 控制器

工作组网桥

路由器

验证

无线 LAN 控制器

工作组网桥

路由器

修订历史记录

由思科工程师提供

此文档是否有帮助?

联系我们